―御社が「情報セキュリティ対策」の見直しを本格的に実施しようと思ったのは、いつ頃、どんなきっかけからでしょうか？
　コンサルティングサービスを利用する前の2014年頃は、社内において軽微なセキュリティインシデントがいくつか発生していました。大きな事故に至ることはありませんでしたが、このままの状態を放置していたら、いつか大きな事故に繋がる危険性があると感じていたため、セキュリティ強化に向けてどういった施策をすればよいのか、検討を始めました。

―ＡＳＡの情報セキュリティコンサルティングサービスをいつ、どこで知りましたか？
　ＡＧＳから紹介を受けた社員からサービスを知りました。情報セキュリティ強化のプロジェクト責任者から金融機関のセキュリティレベルはかなり高いと聞いていたため、金融機関の仕事をしているＡＧＳであれば信頼性も高く、情報セキュリティに対しても強いのではないかと考えました。

―提案を受けたときの第一印象は、いかがだったでしょうか？
　ずいぶん気を遣っているなと感じました。コンサルティングとは、積極的にいろんなことを提案してくるものだと思っていましたが、慎重にこちらの要望を聞いてくれる印象でした。
　また、各階層にインタビューを行った結果を分析し、報告書が出されるサービスというのは、とてもインパクトがありました。当社グループの公開資料や規定類等をすべて読み込んだうえで、社長・本部長から担当者まで上手に実態や本音を聴きだして纏めたものをベースとして、組織・体制面から技術的対策に至るまで広範にアドバイスをいただきましたので説得力がありました。どのようなサービスなのかという不安もありましたが、実際に報告書を見て、余計な心配であったことがすぐに分かりました。

―「情報セキュリティコンサルティングサービス」を導入する際に、他のサービスとの比較は行いましたか?
　他社サービスと比較や検討しようという動きは、あまりありませんでした。現場サイドがコンサルティング導入に対して積極的ではなかったこともあるかもしれません。ただ、個別に他のコンサルティングサービスを利用している部門はありましたので、そういった部門では情報セキュリティコンサルティングのサービス内容を理解し、比較をしていたと思います。

―なぜ最終的に「情報セキュリティコンサルティングサービス」をお選びいただいたのか、理由を教えてください。
　情報セキュリティのレベルが高く、信頼性のある会社に依頼したいと考えていました。ホールディングスの体制となってからの日が浅かったため、グループ全体としての統制が必要な時期でもあり、きちんとした会社にコンサルティングをお願いしたいと考えていました。まだ世間で情報セキュリティ対策の重要性が騒がれる前にコンサルティングを受けることができたのは良かったと思います。

　また、コンサルティングの提言により、標的型攻撃メール対応訓練や情報セキュリティ研修を実施できたのも良かったと思います。世間で情報セキュリティが騒がれ始め、また当社にも標的型攻撃メールが送れられてきたというタイミグで訓練を実施することができたため、社員も臨場感のある体験をすることができたのではないかと思います。訓練結果を速やかに研修に取り入れていただいたのも効果的でした。

―情報セキュリティ研修についての感想を教えてください。

―今後期待されることや要望を教えてください。
　前回のコンサルティングのときは、経営陣へのヒアリングが中心で、現場へのヒアリングは2～3回しか実施できなかったため、もっと現場の生の声を聴きだして欲しいと思っています。コンサルディングを利用してから2年程経ちましたので、どのくらい浸透しているかも確認したいですね。その際には、もう少し踏み込んだ内容を追及して頂けると良いと思います。
　元々社内の情報セキュリティに対する意識は高いものでしたが、全体を対象とした対策をすることができずにいました。しかし、情報セキュリティコンサルティングサービスの利用をきっかけとして、情報セキュリティ委員会が設置され、セキュリティに関する議論ができるようになり、さらにはCSIRTが設置されるなど、加速度的に情報セキュリティの向上が図られています。
コンサルティングや研修は永遠の課題だと思いますので、今後も引き続きご指導いただければと思います。